Internet Infrastructure and Security in Brazil

1. Fluxo Normal ou Ataque

2. CGI.br • O Comitê Gestor da Internet no Brasil tem a atribuição de estabelecer diretrizes estratégicas relacionadas ao uso e desenvolvimento da Internet no Brasil e diretrizes para a execução do registro de Nomes de Domínio, alocação de Endereço IP (Internet Protocol) e administração pertinente ao Domínio de Primeiro Nível ".br".

3. NIC.br • O Núcleo de Informação e Coordenação do Ponto BR é uma entidade civil, sem fins lucrativos, que desde dezembro de 2005 implementa as decisões e projetos do Comitê Gestor da Internet no Brasil, conforme explicitado no comunicado ao público e no estatuto do NIC.br.

4. Registro.br • O Registro.br é o departamento do NIC.br responsável pelas atividades de registro e manutenção dos nomes de domínios que usam o .br. • Também executa o serviço de distribuição de endereços IPv4 e IPv6 e de números de Sistemas Autônomos (ASN) no país.

5. Incidentes de Segurança Reportados CERT.br1999-2013

6. CETIC.br • Criado em 2005, o Centro de Estudos sobre as Tecnologias da Informação e da Comunicação (CETIC.br) é o departamento do NIC.br responsável pela coordenação e publicação de pesquisas sobre a disponibilidade e uso da Internet no Brasil. • Esses estudos são referência para a elaboração de políticas públicas que garantam o acesso da população às Tecnologias da Informação e da Comunicação (TICs), assim como para monitorar e avaliar o impacto socioeconômico das TICs.

7. CEPTRO.br • O CEPTRO.br é a área do NIC.br responsável por serviços e projetos relacionados principalmente à infraestrutura da Internet no Brasil e ao seu desenvolvimento. • A equipe desenvolve soluções em infraestrutura de redes, software e hardware, além de gerenciar projetos executados por parceiros externos. • Os Pontos de troca de Tráfego do PTTMetro, hoje em 12 localidades diferentes, são o serviço mais importante do CEPTRO, ajudando a organizar a infraestrutura da Internet no país, tornando-a mais resiliente e diminuindo seus custos. • A equipe atua também na medição da Qualidade da Internet, na divulgação da Hora Legal Brasileira via NTP, disseminando IPv6 no país, provendo o serviço de voIPPeering, realizando estudos sobre a Web, e em outras áreas.

8. W3C.br • O Consórcio World Wide Web (W3C) é um consórcio internacional no qual organizações filiadas, uma equipe em tempo integral e o público trabalham juntos para desenvolver padrões para a Web. • Liderado pelo inventor da web Tim Berners-Lee e o CEO Jeffrey Jaffe, o W3C tem como missão Conduzir a World Wide Web para que atinja todo seu potencial, desenvolvendo protocolos e diretrizes que garantam seu crescimento de longo prazo.

9. CERT.br • O CERT.br é o Grupo de Resposta a Incidentes de Segurança para a Internet brasileira, mantido pelo NIC.br, do Comitê Gestor da Internet no Brasil. É responsável por tratar incidentes de segurança em computadores que envolvam redes conectadas à Internet

10. Estatísticas dos Incidentes Reportados ao CERT.brValores acumulados: 1999 a 2013

11. Incidentes Reportados ao CERT.brJaneiro a Dezembro de 2013

12. Tipos de AtaqueCERT.br

13. Incidentes Reportados ao CERT.brJaneiro a Dezembro de 2013

14. Incidentes Reportados ao CERT.brJaneiro a Dezembro de 2013

15. Incidentes Reportados ao CERT.brJaneiro a Dezembro de 2013

16. CIDR • O CIDR (de ClasslessInter-DomainRouting), foi introduzido em 1993, como um refinamento para a forma como o tráfego era conduzido pelas redes IP. • O CIDR está definido no RFC 1519.

17. CIDR (CERT.br)

18. Incidentes Reportados ao CERT.brJaneiro a Dezembro de 2013

19. Classificando um IDS

20. I-IDS Sistema de Detecção de Intrusão Baseado em RedeIgor V. M. de Lima - M.Sc - PPGCC 2005Prof. João Bosco M. Sobral

21. Tipo de I-IDS • O I-IDS funcionacomo um IDS baseadoemrede, queprotege um segmento de rede. • Oucomo um IDS baseadoem host, quandoprotege um computadorque o hospeda.

22. Estrutura de Construção para IDS

23. RNA do I-IDS

24. EstruturaFuncional I-IDS • Tem duaspartesque se comunicam: • Módulo de Captura– Um Sniffer TCPdump • Interface Gráfica- Treinamento e Análise via uma RNA.

26. Exemplo de uma sessão capturada • A primeira demonstração do funcionamento do I-IDS é mostrada no Experimento 1, a seguir. • O arquivo gerado pelo módulo de captura contém diversas sessões, como a que está mostrada na Tabela (1). • Para isso, supõe-se o exemplo da Tabela (1), que representa uma sessão capturada, proveniente do módulo de captura, e que deve ser analisada pelo I-IDS.

27. Experimento 1 • Exemplo de uma sessão capturada: Tabela 1 • Uma sessão capturada, proveniente do módulo de captura, e que deve ser analisada pelo I-IDS. #####_I-IDS_##### TCP 10.1.1.11:2402 -> 10.1.1.4:21 #####_I-IDS_#####:24: I-IDS->USER project. I-IDS<-220 wolverine FTP server (Version 6.20 TueJun) ready. I-IDS<-331 Passwordrequired for project.. I-IDS->PASS project. I-IDS<-530 Loginincorrect.. I-IDS->USER remote. I-IDS<-331 Passwordrequired for remote.. I-IDS->PASS remote. I-IDS<-530 Loginincorrect.. I-IDS->USER server. I-IDS:END

28. Experimento 1 • Tomando-se a interface gráfica, deve ser solicitada a função "Iniciar Tratamento“, que identifica palavras-chavesdispostas na sessão capturada.

29. Experimento 1 • No passo seguinte, deve ser solicitado a função "Gerar Entrada", resultando na sessão intermediária, como exemplificada na Tabela (2), seguinte, onde se pode observar as seguintes palavras-chaves: USER projectPASS LoginincorrectUSER remotePASS LoginincorrectUSER server e mais o vetor de estímulos, que serve de entrada para a RNA, encontrado, visualmente, quando se solicita o botão "Arquivo".

30. Tabela 2 – Palavras-chave e Vetor de Estímulo Exemplo de uma representação intermediária de uma sessão #7:24 #TCP #21 #USERproject #PASS #Loginincorrect #USERremote #PASS #Loginincorrect #USER server 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 0 0 0 0 0 0 0 1 1 1 1 1 1 1 0 0 0 0 0 0 1 1 0 0 1 0 0 1 0 1 0 0 1 1 0 1 0 1 1 1 0 0 0 1 0 0 0 0 0 1 1 0 0 0 1 1 0 1 1 0 1 0 0 0 0 0 0 0 1 1 0 0 1 0 0 1 0 1 0 0 1 1 0 1 0 1 1 1 0 0 0 1 0 0 0 0 0 1 1 0 0 0 1 1 0 1 1 0 1 0 0 0 0 0 0 0 1 1 0 0 1 0 0 1 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0

31. Resultado na Análise RNA • O que é mostrado na Tabela 2 é usado para a função "Análise com RNA", resultando na área de saída textual da interface, um conjunto de valores, onde cada valor representa o resultado da análise de uma sessão.

32. Pela contrução da RNA foi definido que valores no intervalo aberto (-1, 0) são consideradas atividades normais, repesentadas na cor verde. • Enquanto os valores no intervalo aberto (0, 1) são consideradas atividades intrusivas, representadas na cor vermelha.

33. Experimento 1 Sessão Capturada Intrusiva • No caso, do Experimento 1, o resultado final deve ser visto na linha 1 da área de saída textual da interface, a qual mostra um valor 0,999492406845093 (em vermelho), significando que a sessão capturada é intrusiva.

34. Qual Ataque ? • Mas, que ataque poderia estar acontecendo ? • Neste momento, é interessante, identificar que tipo de ataque foi detectado. • Para isso, é necessário visualizar a sessão capturada, observar as palavras-chaves e entender o contexto, provavelmente, refletirá uma possível intrusão.

35. Sessão CapturadaFalsos Positivos - Falsos Negativos • Por falso positivo, fica caracterizada uma sessão intrusiva, mas que não foi detectada. • Por falso negativo, fica caracterizada uma sessão normal, mas que foi detectada como intrusiva.

36. I-IDS • RNA treinada usando a base de ataques do SNORT. RNA detecta 100% dos ataques SNORT capturados. • RNA treinada e testada considerando-se ataques SNORT modificados. RNA detecta 74% dos ataques capturados (SNORT + modificados).